Misst Ihr Phishing-Test nur Klickraten oder auch Helpdesk, Verifikation und Meldewege?
Eine Phishing-Simulation misst, wie Ihre Belegschaft auf realistische Angriffs-E-Mails reagiert: Klicks, eingegebene Zugangsdaten und Meldungen. Breite Kampagnen werten wir anonymisiert und aggregiert aus, einzelne Mitarbeitende werden nicht benannt. Über E-Mails hinaus prüfen wir per Telefon den Helpdesk (Vishing) und greifen gezielt Schlüsselpersonen an, auch mit dem Versuch, die Mehrfaktor-Authentifizierung zu umgehen, wo das eingesetzte Verfahren es zulässt. Methodisch arbeiten wir nach MITRE ATT&CK und mit der Auswertung öffentlicher Quellen (OSINT), auf Wunsch verknüpfen wir das Ergebnis mit dem weiteren Angriff.
Der Mensch ist kein Sicherheitsproblem, sondern eine Verteidigungslinie, die sich prüfen und stärken lässt. Angreifer wissen das und beginnen oft nicht bei der Technik, sondern bei einer glaubwürdigen Nachricht, einem Anruf oder einer erfundenen Rolle. KI-generierte Texte und Stimmen machen solche Angriffe glaubwürdiger. Eine einzige preisgegebene Anmeldung, etwa für Microsoft 365, genügt häufig als Einstieg.
Der Zweck ist nicht, Mitarbeitende zu ertappen, sondern zu messen, wie robust Ihre Abläufe und Reaktionen sind. Wir bilden reale Angriffsformen nach, von der breiten Kampagne bis zum präzisen Angriff auf einzelne Schlüsselpersonen, und werten aggregiert aus. Wo sinnvoll, verbinden wir das Ergebnis mit dem weiteren Angriff, denn erbeutete Zugangsdaten entfalten ihre Wirkung erst, wenn der Angriff auf technischer Ebene weitergeht.
Eine standardisierte, breit gestreute Kampagne misst das Ausgangsniveau ohne Personalisierung und liefert so einen belastbaren Vergleichswert.
Ein Angriff nach dem Vorbild echter Kampagnen, mit glaubwürdigen Absendern und Anmeldeseiten, ohne vorherige technische Ausnahmen.
Ein präziser Angriff auf besonders exponierte Rollen mit rollenspezifischen Szenarien. Wo das eingesetzte Verfahren es zulässt, versuchen wir, die Mehrfaktor-Authentifizierung über zwischengeschaltete Angriffsinfrastruktur zu umgehen.
Wir prüfen Verifikationsprozesse und Helpdesk-Abläufe, etwa bei angeblichen Passwort- oder Faktor-Rücksetzungen.
Erbeutete Zugangsdaten fließen auf Wunsch in den Gesamttest ein, für eine durchgängige Kette vom Menschen bis zum System.
Eine Phishing-Simulation testet mit glaubwürdigen, harmlosen Angriffs-E-Mails, ob Mitarbeitende klicken, Zugangsdaten eingeben oder den Angriff melden, auf Wunsch einschließlich Telefon, Helpdesk und Schlüsselpersonen. Gedacht ist sie für Organisationen, die das Risiko über den Menschen belastbar einschätzen wollen. Die Prüfung reicht bis zu abgegriffenen Zugangsdaten und ihrer Wirkung im weiteren Angriff, Meldewege und E-Mail-Schutzkette prüfen ergänzend die Detection-Checks „User Awareness & Meldewege“ und „Payload Delivery & Filtering (E-Mail-Schutzkette)“. Die Erkenntnisse fließen in Awareness-Schulungen, erbeutete Zugangsdaten lassen sich in eine Angriffssimulation überführen.
Wir stimmen Szenarien, Zielgruppen, Datenschutz und die Einbindung der Mitbestimmung ab und legen einen Eskalationsweg fest.
Wir entwickeln glaubwürdige Szenarien, bei gezielten Angriffen auf Basis öffentlich verfügbarer Informationen.
Wir führen die Kampagne oder das Szenario kontrolliert durch und erfassen Verhalten und Reaktionszeiten.
Wir werten so aus, dass Muster sichtbar werden, nicht einzelne Personen bloßgestellt werden.
Sie erhalten Erfolgsquoten, Reaktionsverhalten und konkrete Empfehlungen für Abläufe und Schulung.
Zuerst die technischen Erkenntnisse für Ihr IT-Team, dann der Plan für die Behebung, dann die Zusammenfassung für Ihre Geschäftsführung und auf Wunsch die Bescheinigung für Kunden, Auditoren oder Versicherer. Alles beruht auf denselben Befunden.
Die Angriffskette mit Nachweis und Zeitstempeln, die Erkennungszeitpunkte Ihrer Abwehr und die Befunde, die den Weg ermöglicht haben, qualitativ bewertet.
Im Debriefing besprechen wir die Ergebnisse mit Ihrem Steuerungsteam. Im Replay-Workshop gehen wir mit Ihrem Blue Team den Weg der Meldungen durch, vom ersten Hinweis bis zur Reaktion. Daraus entstehen priorisierte Behebungsempfehlungen für Schulung, Meldewege und technische Schutzmaßnahmen, auf Wunsch vertieft im Technischen Workshop.
Lage, Risiko und Entscheidungsbedarf auf wenigen Seiten, verständlich ohne technisches Vorwissen. Damit nehmen Sie Geschäftsführung, Gremien und Fachbereiche mit, um das Ergebnis zu vermitteln und Handlungsbedarf aufzuzeigen.
Die Bestätigung der durchgeführten Prüfung, ohne technische Details preiszugeben. Für Kunden, Auditoren, Aufsicht und Ihre Cyberversicherung.
Melden Sie sich bei uns. Im Termin zeigen wir Ihnen an einem anonymisierten Beispiel, wie Bericht zum Social Engineering, Actionplan, technische Ergebnispräsentation und Prüfbescheinigung für Ihre Prüfung aussehen.
„Auch die Mitarbeiter sind durch diesen Test deutlich sensibilisiert worden, was sich positiv auf den täglichen Umgang mit sensiblen Daten und IT-Sicherheit auswirkt.“
Karl-Christian Neger, Geschäftsführer, Ernst Neger Bedachungs GmbH
Diese Prüfung misst, wie robust Menschen und Abläufe gegen Manipulation sind. Was danach mit Anhang, Meldung oder erbeuteten Zugangsdaten geschieht, prüfen die folgenden Ergänzungen.
Wenn Sie wissen wollen, ob eine Meldung schnell die richtige Stelle erreicht und dort korrekt bearbeitet wird, schließt sich die Übung zu User Awareness & Meldewege an.
Zur LeistungKombinierbar, sobald neben dem Menschen auch Gateway, Sandbox und EDR gegen präparierte Anhänge geprüft werden sollen.
Zur LeistungWenn ein Angreifer bei Ihnen eher am Empfang als im Postfach ansetzen würde, erweitert die physische Infiltration das Szenario vor Ort.
Zur LeistungWenn Zugangsdaten Ihrer Mitarbeitenden bereits in Untergrundquellen kursieren könnten, zeigt Darknet Exposure, welche davon noch gültig sind.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
In vielen Fällen ja: Weil eine Phishing-Simulation das Verhalten von Beschäftigten erfasst, kann sie nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig sein. Eine aggregierte Auswertung schließt das nicht aus, wenn das Tool die Daten einzelnen Personen zuordnen kann. Auch der Datenschutz ist berührt, sobald personenbezogene Daten verarbeitet werden. Wir binden Betriebsrat und Datenschutzbeauftragte vorab ein und stimmen Szenarien, Zielgruppen und Auswertung ab. Ausgewertet wird aggregiert, damit keine einzelne Person vorgeführt wird.
Wenn das eingesetzte Verfahren es zulässt, ja. Wenn das eingesetzte Verfahren es zulässt, ja. Bei gezielten Angriffen auf Schlüsselpersonen setzen wir zwischengeschaltete Angriffsinfrastruktur ein, die eine Anmeldung samt zweitem Faktor in Echtzeit abfangen kann. Gegen phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys greift dieser Weg nicht.
Sie liefert einen Ausgangswert, an dem sich die Wirkung späterer Schulungen messen lässt. Ohne diesen Vergleichswert bleibt der Erfolg von Awareness-Maßnahmen eine Behauptung.
Eine Phishing-Simulation misst das Verhalten bei Angriffen per E-Mail, ein Social-Engineering-Test prüft zusätzlich Telefon, vorgetäuschte Rollen und Prozesse wie Verifikation und Helpdesk. Die Übergänge sind fließend. Telefon und Helpdesk gehören dazu, sobald dort Passwörter oder zweite Faktoren zurückgesetzt werden können, denn das ist ein typischer Angriffsweg.
Einzelne Mitarbeitende werden nicht vorab informiert, sonst misst der Test nicht das reale Verhalten. Eingeweiht ist nur ein kleines Steuerungsteam, das im Notfall eingreifen kann. Wer dazugehört, legen wir im Scoping fest.
Regelmäßig statt einmalig: Eine Wiederholung ist sinnvoll nach jeder Schulungswelle und nach geänderten Prozessen, um die Wirkung gegen die Baseline zu messen. Ein einzelner Test zeigt nur eine Momentaufnahme.
Erbeutete Zugangsdaten behandeln wir als vertrauliche Befunde. Den Zeitpunkt für das Zurücksetzen stimmen wir mit dem Steuerungsteam ab: Ist die Kampagne Teil eines Red Teamings, würde ein sofortiges Zurücksetzen die Angriffskette abbrechen und die Verteidiger warnen. Für den weiteren Angriff nutzen wir sie nur mit vorheriger Freigabe. Nach Abschluss der Prüfung werden sie gelöscht.
Je nach Kampagnenform wenige Tage bis mehrere Wochen. Den größten Teil der Vorlaufzeit nehmen oft die Abstimmung mit Datenschutz und Mitbestimmung und die Konzeption glaubwürdiger Szenarien ein. Gezielte Angriffe auf Schlüsselpersonen brauchen zusätzlich Zeit für die Aufklärung.
